OpenSSL s_client: de proxy-403 komt vóór de TLS van de bestemming
Lees een 403 op CONNECT via een OpenSSL-proxy als een fout in de tunnelfase en diagnosticeer geen bestemmingscertificaat op basis van een handshake die nooit begon.
Als openssl s_client HTTP 403 krijgt als antwoord op zijn CONNECT-verzoek via de proxy, begin dan bij die weigering. De gevraagde tunnel is niet tot stand gebracht.
Met -proxy vraagt s_client eerst de HTTP-proxy om verbinding te maken met de bestemming die met -connect is opgegeven. Alleen een geslaagd CONNECT-antwoord maakt van die uitwisseling een tunnel voor de TLS-handshake van de bestemming.
Deze volgorde verklaart een anders verwarrende uitvoer: een proxyfout gevolgd door TLS-gerelateerde koppen, geen certificaat van de tegenpartij of een schijnbaar geruststellende verificatieregel. Die velden bewijzen niet dat het certificaat van de bestemming is ontvangen en geverifieerd. De bewerking stopte in een eerder stadium.
Noteer het antwoord van de proxy en de gevraagde host en poort van de bestemming. Een 403 vestigt de aandacht op de toegangsbeslissing van de proxy; een 407 vraagt om proxy-authenticatie. Geen van beide wordt verholpen door de verificatie van het bestemmingscertificaat uit te schakelen.
Wanneer het is toegestaan de uitwisseling te inspecteren, kan de -debug-uitvoer van s_client helpen de weigering zichtbaar te maken. Houd eventuele proxy-inloggegevens buiten gedeelde traces. Een geslaagde tunnel zou daarna nog steeds zijn eigen TLS- en certificaatbeoordeling nodig hebben, maar er is geen doelcertificaatketen om te diagnosticeren totdat dat stadium daadwerkelijk is bereikt.